PhpMyNewsLetter 2.0

Excellente question ! 

Bonjour Archeo 
Tout d'abord préciser que je viens de compléter les index.php manquants dans les répertoires.
La version est mise à jour des fichiers index.php manquants :
https://www.phpmynewsletter.com/forum/t … age-1.html en faisant référence à ce post.

J'ai le choix de 2 réponses :
- La mauvaise réponse : je ne fais qu'écrire PhpMyNewsLetter, chaque admin administre son serveur et doit connaître les règles de base 
- Une meilleure réponse :
Oui, on peut protéger davantage !
(Dans l'ordre de ce à quoi je pense, désolé si j'en oublie !)
- Rajouter les index.php qui sont les premières pages appelées dans un répertoire quand il y a référence à un chemin et non une page dans un répertoire. Ce que je suis en train de faire, et dont évolution à suivre.
- Dans la configuration apache (je suis sous NGinX, donc à vous de vérifier en fonction de apache 1.3, 2.2 ou 2.4 ou autre...), supprimer la possibilité de parcourir un répertoire avec :

Options -Indexes

Dans les répertoires :
upload/      css/    images/    logs/
vous pouvez aussi interdire l'exécution de php en posant un .htaccess dans chacun de ces répertoires avec :

<Files *.php>
deny from all
</Files>

Evidemment ajuster les paramètres si vous avez des fichiers php3, php5, inc, etc...
- Passer en https (Let's Encrypt est juste extraordinaire ! J'adore ce projet, et en plus ça permet http/2. Ce portail estd'ailleurs dynamiser par NGinX, Let's Encrypt et profite du full http/2)
- Sécuriser un peu php via le php.ini :

; Ne pas affaicher les erreurs sur écran
display_errors = off
; Autoriser l'écriture des erreurs en log
log_errors = on
; Ne pas afficher la version de php dans les headers : X-Powered-By header:
expose_php = off
; profitez en pour cacher le script qui envoie les mails :
mail.add_x_header = Off
; et logger les mails envoyés par php_mail (si vous l'utilisez) :
mail.log = /var/log/phpmail.log

- concernant config.php, il faut savoir que c'est un fichier qui peut être réécrit par PhpMyNewsLetter, il faudrait idéalement laisser les droits en écriture !
Dans l'odre c'est owner/group/other donc laisser un 600 si on n'a pas encore stabilisé la config, ou effectivmeent 400 si on a validé la config.
A noter : il y a aussi le fichier de config des mails en bounce, config_bounce.php, donc la commande :

chmod 600 config*.php

- et enfin pour protéger ce fichier config, une directive rapide trouvée sur stackoverflow :

### https://stackoverflow.com/a/22049769

# password protect single file
<IfModule mod_auth.c>
 <Files "protected.html">
  AuthName "Username and password required"
  AuthUserFile /home/path/.htpasswd
  Require valid-user
  AuthType Basic
 </Files>
</IfModule>

(remplacer proetcted.html par config.php et adapter les chemin de .htpasswd).

Sinon, il reste beaucoup de choses à faire pour protéger un serveur, mais je crois qu'il y a des forums spécialisés pour ça. Nous sommes restés ici dans le cadre de PhpMyNewsLetter.

Attention à ne pas tout bloquer non plus !
Les images ajoutées aux newsletter, sauf si elles sont en lien depuis l'extérieur pourraient ne pas être accessibles.
Je ne comprends pas le droit en 5... Bizarre comme droit... Le moteur php lit les fichiers php, les mouline, et restitue une page web par exemple. Il n'est pas exécuté directement comme un shell.

Pourquoi pas !
En tout état de cause, peut être penser à une évolution...